🇰🇷 한글 설명
PHPJunkYard GBook 1.6의 guestbook.php에서 mes_id 파라미터에 대한 부적절한 입력 검증으로 인한 SQL 삽입 취약점입니다. 원격 공격자는 이를 통해 데이터베이스에서 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
방명록 프로그램에서 사용자 입력을 제대로 검사하지 않아서 악의적인 SQL 명령어를 몰래 실행할 수 있는 취약점입니다. 해커가 데이터베이스의 모든 정보를 탈취하거나 변경할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in guestbook.php in PHPJunkYard GBook 1.6 allows remote attackers to execute arbitrary SQL commands via the mes_id parameter.
📍 영향받는 시스템
PHPJunkYard GBook 1.6 이하 버전
⚔️ 공격 벡터
mes_id 파라미터에 SQL 문법을 포함한 요청을 전송하여 guestbook.php 실행
🛡️ 대응 방법
GBook을 최신 버전으로 업그레이드하거나 모든 사용자 입력에 대해 적절한 이스케이프 처리 및 파라미터화된 쿼리(Prepared Statements) 사용
🔧 검증 코드
응답에서 GBook 관련 텍스트가 나타나면 설치 확인, 실제 SQL injection 테스트는 전문 보안 도구로 수행 필요
curl -s 'http://target/guestbook.php?mes_id=1' | grep -i 'gbook\|guestbook' || echo '취약점 확인 불가'